Oracle sbaglia la patch: hackers a caccia di server Weblogic

Apr 30, 2018 Giancarlo Calzetta News, RSS, Tecnologia, Vulnerabilità 1

Oracle ha usato una scorciatoia per mettere al sicuro i server Weblogic, ma un ricercatore di Alibaba ha scoperto che la patch è incompleta e i server sono ancora attaccabili.

Si sa che non sempre le patch chiudono le falle come si spererebbe, ma è anche vero che un po’ bisogna impegnarsi per evitare di rilasciare codice inutile. Stavolta la svista è capitata a Oracle con la correzione che sarebbe dovuta andare a chiudere un problema sui server Weblogic a cui era stato assegnato un punteggio di pericolosità di 9.8 su 10 in quanto il bug permetteva a un attaccante di eseguire codice arbitrario su di un server senza bisogno di alcuna autenticazione.

La patch originale era stata pubblicata nel mega aggiornamento trimestrale uscito qualche giorno fa e il giorno successivo il ricercatore Liao Xinxi, di NSFOCUS Security Team, ha reso disponibili i dettagli sul funzionamento del bug. A seguito di questo rilascio, a nostro avviso etico perché avvenuto dopo la pubblicazione della patch ma poco attento perché troppo tempestivo, un utente che si firma Brianwrf ha creato e reso disponibile un codice Proof of Concept che sfrutta il bug.

È facile intuire che avendo a disposizione il codice già pronto per sfruttare un bug pericolosissimo che viene corretto da una patch uscita da pochissimo tempo, i criminali informatici si sono sentiti invitare a nozze e hanno iniziato a scandagliare il web alla ricerca di server con la porta TCP 7001 aperta (quella utilizzata dal servizio vulnerabile Weblogic T3).

Greynoise, una società specializzata nel catalogare le ricerche di massa in Internet, ha rilevato un picco nelle ricerche di questo tipo nei giorni passati, ma le cose hanno preso una piega potenzialmente devastante.

Mentre fino a qualche ora fa la speranza dei criminali era quella di infiltrarsi nei server che ancora non avessero installato la patch (e sono sempre tanti. Molte attività hanno bisogno di periodi di testing troppo lunghi per validare l’installazione delle patch), adesso la prospettiva è di averli tutti alla loro portata.

La correzione creata da Oracle, infatti, ha adottato un approccio poco ortodosso per sistemare le cose, rivelandosi poco efficace.

Invece di agire a livello del cuore del funzionamento della componente afflitta dal problema, sembra che la famosa software house abbia semplicemente impedito l’esecuzione dei comandi che portano allo sfruttamento della falla, ma non tutti sono stati disabilitati.

Come conseguenza, un ingegnere software di Alibaba ha scoperto che c’è ancora un modo per sfruttare quella falla e bypassare la protezione offerta dalla patch. Il ricercatore di sicurezza Kevin Beaumont, che sta seguendo l’evoluzione di questa vicenda, consiglia per il momento alle aziende che usano server Weblogic di inibire le connessioni alla porta 7001, in attesa che arrivi una patch perfettamente funzionante.

Condividi l'articolo